Sob a regra de privacidade HIPAA, dados são deidentified se quer (1) um perito experiente determina que o risco que determinadas informações poderiam ser usadas para identificar um indivíduo é 'muito pequeno' e documentos e justificam a determinação, ou (2) os dados não incluem qualquer um dos seguintes dezoito identificadores (de indivíduo ou seus parentes, membros do agregado familiar ou empregadores), que poderiam ser usados sozinho ou em combinação com outras informações para identificar o assunto: nomes, subdivisões geográficas menores do que um Estado (incluindo o código zip), todos os elementos de datas exceto ano (a menos que o assunto seja superior a 89 anos de idade), telefones, números de FAX, endereço de e-mail, números de Segurança Social, números de registros médicos, números de beneficiários de plano de saúde, números de contas, certificado de licença/números, identificadores de veículo incluindo placas, dispositivo identificadores e números de série, URLs, endereços, identificadores biométricos, cara cheia photos e imagens comparáveis e qualquer número de identificação único, característica ou código; Observe que, mesmo se estes identificadores são removidos, a regra de privacidade estabelece que informações serão consideradas identificáveis se a entidade coberta sabe que ainda pode ser determinada a identidade da pessoa.